乙太網接入網中的虛擬區域網接入方法
2023-05-04 02:19:36
專利名稱：乙太網接入網中的虛擬區域網接入方法
技術領域：
本發明涉及接入網領域，更具體的涉及一種採用虛擬區域網(VLAN)接入方式的乙太網接入方法。
所謂接入網是業務提供點與最終用戶之間的連接網絡。在現有技術中，業務交換機可以通過多種介質接入數據業務，其中包括非對稱數字用戶線(ADSL)、電纜數據機和乙太網。所謂乙太網是採用帶有衝突檢測的載波偵聽多路訪問(CSMA/CD)介質訪問控制方法的總線型區域網。乙太網作為一種新興的接入手段，以其廉價高速的特點，有著廣闊的應用前景。在建立乙太網接入網絡時，有兩種接入方式可供選擇點對點協議(PPP)方式和虛擬區域網(VLAN)方式。其中，VLAN是建立在區域網交換機硬體基礎上的，通過軟體可以進行配置和管理的，劃分邏輯工作組的方法。VLAN的劃分方式有多種，常用的有兩種按照介質訪問控制(MAC)地址劃分和按照區域網交換機埠劃分。本發明描述的是按埠劃分的VLAN。為了使網絡實現可管理、可運營，無論網絡服務提供商選擇何種方式接入用戶，業務交換機都應該提供完善的用戶管理手段，如準確的識別用戶、禁止/允許特定用戶的接入、防止地址仿冒、阻斷惡意攻擊、用戶優先級保證、計費等等。其中，對用戶的識別是實現其他功能的前提。本發明具體涉及的就是在乙太網接入網上，採用VLAN接入方式時，業務交換機對用戶的識別方法。PPP接入方式不在本發明的討論範圍內。
如
圖1所示，為現有技術中，乙太網VLAN接入方式的組網圖，包括用戶終端、乙太網接入網、動態主機配置協議(DHCP)伺服器、域名伺服器(DNS)、以及用以完成授權、驗證和計費功能的AAA伺服器。其中，乙太網接入網一般劃分為兩個層次L2接入層和L2/L3分發層。L2接入層通過5類雙絞線與用戶直接相連，主要完成匯聚功能。L2接入層和L2/L3分發層一般通過光纖相連，可以覆蓋較大的地域範圍。L2/L3分發層主要完成業務匯聚、L2/L3分發等功能。L2接入層中一般採用帶光接口的區域網交換機(LAN Switch)，L2/L3分發層可以採用光纖LANSwitch、L3交換機或者業務交換機。其中採用業務交換機是今後的發展方向。在分發層中採用業務交換機，可以完成多業務轉發、驗證/計費、虛擬專網(VPN)等多種功能，有效地提高了骨幹網絡的使用效率。
當採用VLAN接入方式時，通常將L2接入層的LAN Switch的每個連接用戶埠都劃分到不同的VLAN。利用VLAN的分隔功能，用戶之間不能互相訪問；而利用虛擬區域網標識(VLAN ID)，業務交換機可以判定一個業務報文是從哪個LAN Switch埠發來的。用戶通過LANSwitch(L2接入層)接入到業務交換機；LAN Switch與用戶計算機連接的埠採用無標識(unTag)方式，數據報文經過LAN Switch時，由LANSwitch根據輸入埠為報文添加VLAN ID；LAN Switch與業務交換機連接的埠採用標識(Tag)方式。這樣業務交換機接收到的每個數據報文都包含VLAN ID，由於VLAN ID是按照特定的規則分配的，這樣業務交換機可以根據報文中的VLAN ID判斷出報文的來源，精確到特定的LANSwitch埠。
對於VLAN接入方式，用戶的概念包含兩個層次第一層是LANSwitch埠；第二層是埠下接入的計算機。如果每個埠下只接入一臺用戶計算機，那麼它們是一一對應的，使用第一層的VLAN ID就可以唯一標識第二層的計算機。在這種情況下，把VLAN ID作為運營商分配給用戶的唯一標識是可行的。這也是目前大多數設備的典型做法。但是，當一個LAN Switch埠通過集線器(HUB)連接了多臺用戶計算機時，VLAN ID與用戶計算機變成了一對多的關係。在這種情況下，如果接入設備還是簡單的用VLAN ID來標識用戶，由於這種方法只能精確到LANSwitch埠，要想準確判定數據報文來自同一埠下的哪臺計算機就無能為力了。由於同一埠下的計算機被認為是相同的用戶，可能會導致以下問題一、網際網路協議(IP)地址佔用乙太網接入時，一般會採用DHCP分配IP位址來節省網際網路服務提供商(ISP)的地址資源。如果不能識別用戶計算機，那麼同一埠下的每個用戶終端都會獲得一個IP位址，有可能擠佔了正常用戶的IP位址，導致他們不能上網。更為嚴重的是，如果惡意用戶通過這種方式對ISP進行攻擊，很快就會耗盡ISP的地址資源。二、無法控制同一埠下的並發用戶數量這個問題和上個問題是類似的。由於業務交換機不知道目前已經接入了多少並發用戶，因而也無法判定是否應允許新的並發用戶接入。最終造成一個結果，就是ISP無法開放多用戶的服務。三、不能向用戶提供更為詳細的使用清單。
本發明的目的在於克服現有技術的不足之處，而提供一種在乙太網接入網上，採用VLAN方式接入時，精確到每個用戶終端的接入方法。
本發明方法是這樣實現的一種乙太網接入網中的虛擬區域網(VLAN)接入方法，其所適用的網絡組成包括用戶終端、乙太網接入網、域名伺服器(DNS)、以及用以完成授權、驗證和計費功能的AAA伺服器；所述乙太網接入網包括L2接入層和L2/L3分發層，所述L2接入層中採用區域網交換機(LAN Switch)；L2/L3分發層採用業務交換機；其特徵在於業務交換機通過虛擬區域網標識(VLANID)+介質訪問控制(MAC)地址+網際網路協議(IP)地址綁定的方法來識別每個業務埠下的每個用戶終端。
所謂VLAN ID+MAC地址+IP位址綁定的含義是，當收到一個IP報文時，其乙太網封裝幀頭中的VLAN ID必須是綁定記錄中的VLAN ID，其乙太網封裝幀頭中的源MAC地址也必須是綁定記錄中的MAC地址，同時此報文的源IP位址也必須是綁定記錄中的IP位址。如果不符合這個約束，該報文被視為無效並被丟棄。
實施本發明的乙太網接入網中的VLAN接入方法，由於採用了VLANID+MAC地址+IP位址綁定的方式來識別每個業務埠下的每個用戶終端，用戶標識的設置可以準確到LAN Switch埠下的每一計算機，提高了系統接入的精確性，安全性和可管理性。本發明的方法具有很強的實用性和經濟效益。
下面結合附圖對本發明作進一步的詳細說明。
圖1是現有技術中乙太網接入網的組網示意圖；圖2是本發明方法所適用的乙太網接入網的組網示意圖；圖3是本發明方法的用戶報文標識設置處理流程圖；如圖2所示，為適用本發明方法的乙太網VLAN接入方式的組網圖，包括用戶終端、乙太網接入網、動態主機配置協議(DHCP)伺服器、域名伺服器(DNS)、以及用以完成授權、驗證和計費功能的AAA伺服器。其中，乙太網接入網劃分為兩個層次L2接入層和L2/L3分發層。L2接入層中採用帶光接口的區域網交換機(LAN Switch)，且可以有多於一臺的用戶終端通過集線器(HUB)連接到LAN Switch埠；L2/L3分發層採用業務交換機。
為了使業務交換機可以在VIAN接入方式下實現對LAN Switch埠下每個用戶計算機的管理，本發明提出了以VLAN ID+MAC地址+IP位址識別用戶的方法。通過這種方法，業務交換機在以VLAN接入方式組網運行時，可以精確地辨別數據報文來源，從而實現以用戶計算機為對象的用戶管理。
在本發明中，用戶開戶時要註明其使用方式，其中很重要的一點就是是否允許多客戶接入，以及一個埠下能夠同時連接的設備數，也就是同時能佔用的IP位址數目。如果用戶申請了多客戶接入，在業務交換機中，還要給每個用戶(同一VLAN ID)可分配的IP位址數目設置一個大於1的閾值；如果用戶未申請多客戶接入，在業務交換機中，該用戶可分配的IP位址數目則為1。
如圖3所示，本發明的用戶報文標識設置處理流程如下(1)提取用戶DHCP請求(採用乙太網幀格式)報文頭中的VLAN ID和源MAC地址，分別記為vlanid和mac。
(2)檢查綁定表中是否存在關於vlanid的記錄，如果不存在(記錄數等於0)，表明該請求來自該埠下首次開機的計算機，則進入步驟(5)，如果存在(記錄數大於或等於1)，表明該請求來自該埠下另一開機的計算機，則繼續下面的步驟；(3)在關於vlanid的綁定記錄中，檢查是否存在關於mac的綁定記錄？如果存在，則刪除關於mac的綁定記錄，然後進入步驟(5)。否則繼續下面的步驟；(4)已經存在的綁定記錄數是否等於閾值？如果相等，表示給用戶分配的IP位址數目已達到(等於)上限，應拒絕用戶接入；如果該用戶可分配的IP位址數目仍小於閾值，則繼續以下步驟；(5)在綁定表中建立一條新的綁定記錄，將vlanid和mac填寫到記錄中，此時的綁定記錄稱為待確認綁定記錄；(6)向伺服器轉發DHCP請求，並等待響應；收到響應後，從響應報文中提取分配給用戶的IP位址，並將此IP位址填寫到已建立的待確認綁定中，此時的綁定記錄稱為完全綁定記錄；(7)將新建立的完全綁定記錄的狀態置為可使用狀態，並為記錄中的IP位址設定數據報文轉發表項。
這樣，就可以控制並發接入用戶的數量。
如表1所示為業務交換機上綁定表格式示例。
表1
如圖4所示，本發明的數據報文處理流程如下當業務交換機收到數據報文時，提取報文中的VIAN ID、源MAC地址、源IP位址，並檢查是否符合該埠的任意一個綁定。如果不符合任何綁定，則丟棄該報文。
通過本發明的方法，業務交換機就能夠準確地掌握當前系統已經接入的計算機，每臺計算機所處的LAN Switch埠，以及它的IP位址和MAC地址。有了這些信息，業務交換機可以記錄每臺計算機的活動，控制IP位址的分配，限制埠下接入的用戶數量，並阻斷惡意用戶對系統的攻擊。
權利要求
1.一種乙太網接入網中的虛擬區域網(VLAN)接入方法，其所適用的網絡組成包括用戶終端、乙太網接入網、域名伺服器(DNS)、以及用以完成授權、驗證和計費功能的AAA伺服器；所述乙太網接入網包括L2接入層和L2/L3分發層，所述L2接入層中採用區域網交換機(LANSwitch)；L2/L3分發層採用業務交換機；其特徵在於業務交換機通過虛擬區域網標識(VLAN ID)+介質訪問控制(MAC)地址+網際網路協議(IP)地址綁定的方法來識別每個業務埠下的每個用戶終端。
2.根據權利要求1所述的方法，其特徵在於對於申請了多客戶接入的用戶，在業務交換機中，需要給每個用戶可分配的IP位址數目設置一個大於1的閾值；如果用戶未申請多客戶接入，在業務交換機中，該用戶可分配的IP位址數目則為1。
3.根據權利要求1或2所述的方法，其特徵在於；對用戶報文標識設置的處理流程如下(1)提取用戶DHCP請求報文頭中的VLAN ID和源MAC地址，分別記為vlanid和mac；(2)檢查綁定表中是否存在關於vlanid的記錄，如果不存在，則進入步驟(5)，如果存在，則繼續下面的步驟；(3)在關於vlanid的綁定記錄中，檢查是否存在關於mac的綁定記錄？如果存在，則刪除關於mac的綁定記錄，然後進入步驟(5)；否則繼續下面的步驟；(4)已經存在的綁定記錄數是否等於閾值？如果相等，則拒絕用戶接入；如果該用戶可分配的IP位址數目仍小於閾值，則繼續以下步驟；(5)在綁定表中建立一條新的綁定記錄，將vlanid和mac填寫到記錄中，形成待確認綁定記錄；(6)向伺服器轉發DHCP請求，並等待響應；收到響應後，從響應報文中提取分配給用戶的IP位址，並將此IP位址填寫到已建立的待確認綁定中，形成完全綁定記錄；(7)將新建立的完全綁定記錄的狀態置為可使用狀態，並為記錄中的IP位址設定數據報文轉發表項。
4.根據權利要求1或2所述的方法，其特徵在於，對數據報文處理流程如下當業務交換機收到數據報文時，提取報文中的VLAN ID、MAC地址、IP位址，並檢查是否符合該埠的任意一個綁定；如果符合，則轉發該報文，如果不符合任何綁定，則丟棄該報文。
全文摘要
本發明提供一種乙太網接入網中的VLAN接入方法,通過VLAN ID+MAC地址+IP位址綁定的方式來識別每個業務埠下的每個用戶終端。實施本發明的乙太網接入網中的VLAN接入方法,由於採用VLAN ID+MAC地址+IP位址綁定的方式來識別每個業務埠下的每個用戶終端,提高了系統接入的精確性,安全性和可管理性。本發明的方法具有很強的實用性和經濟效益。
文檔編號H04L12/28GK1357997SQ0013635
公開日2002年7月10日 申請日期2000年12月15日 優先權日2000年12月15日
發明者劉凱, 慶武 申請人:華為技術有限公司